Rethinking Backdoor Adversarial Unlearning through the Lens of Catastrophic Forgetting in Continual Learning

Sintesi Tecnica: Ripensare l'Unlearning Avversaria delle Backdoor attraverso la Lente dell'Oblio Catastrofico nel Continual Learning

Problematica
Le attuali strategie di difesa dalle backdoor, in particolare i metodi di safety tuning, offrono spesso una protezione solo superficiale. Sebbene possano ridurre inizialmente l'Attack Success Rate (ASR), spesso non riescono a eliminare completamente le caratteristiche della backdoor incorporate. Prove recenti indicano che i modelli "purificati" conservano una conoscenza residua della backdoor, che può essere rapidamente riattivata dagli avversari attraverso il fine-tuning (Retuning Attack) o perturbazioni basate su query (Query-based Reactivation Attack). Le difese esistenti faticano a bilanciare la rimozione delle caratteristiche della backdoor con la preservazione delle prestazioni sui task puliti (clean task), specialmente contro attacchi caratterizzati da bassa ortogonalità o bassa linearità, dove le caratteristiche pulite e quelle della backdoor sono intrecciate.

Metodologia
Gli autori propongono un nuovo framework che reinterpreta l'apprendimento (learning) e l'unlearning delle backdoor come un processo di continual learning (CL) sequenziale a tre stadi: un task pulito ($\tau_c$), un task della backdoor ($\tau_b$) e un task di unlearning della backdoor ($\tau_u$).

1. Fondamento Teorico tramite l'Oblio Catastrofico:

   • Il documento definisce l'Unlearning Completo della Backdoor come uno stato in cui il task di unlearning $\tau_u$ elimina completamente l'effetto della backdoor (rendendo l'output del modello purificato sui dati avvelenati coincidente con l'output del modello pulito) pur preservando le prestazioni sul task pulito.
   • Sfruttando il framework del Neural Tangent Kernel (NTK), gli autori derivano una condizione necessaria per raggiungere questo obiettivo: il task di unlearning deve essere antagonista e parallelo al task della backdoor (per massimizzare l'oblio delle caratteristiche della backdoor) pur rimanendo ortogonale al task pulito (per prevenire l'oblio catastrofico della conoscenza pulita).
   • Ciò porta a un principio di progettazione per gli esempi avversari: essi devono allinearsi con le caratteristiche della backdoor per attivare il modello con backdoor, ma preservare il contenuto semantico del campione originale per soddisfare il modello pulito.

2. Blind Inversion-Backdoor Adversarial Unlearning (BI-BAU):

   • Poiché il difensore non ha accesso al dataset avvelenato originale o all'esatto trigger della backdoor, il problema è formulato come un problema di Blind Inversion. L'obiettivo è recuperare esempi avversari (la "sorgente") che soddisfino vincoli specifici dati solo gli output del modello (le "misure").
   • Gli autori risolvono questo problema utilizzando un framework di algoritmo Expectation-Maximization (EM) per ottimizzare un obiettivo di Maximum A Posteriori (MAP):
     • E-Step (Massimizzazione Interna): Genera esempi avversari ($\tilde{x}$) che soddisfano due condizioni: (1) attivano la backdoor affinché predica l'etichetta target, e (2) preservano la semantica pulita del campione originale. Ciò viene ottenuto tramite una loss composita che include cross-entropy, knowledge distillation (per mantenere la coerenza semantica) e una loss a priori che allinea la perturbazione delle feature con la direzione del gradiente della backdoor, mantenendo l'ortogonalità rispetto alla direzione delle feature pulite.
     • M-Step (Minimizzazione Esterna): Aggiorna i parametri del modello utilizzando gli esempi avversari generati. Questo step incorpora un termine di inverse Elastic Weight Consolidation (EWC) per incoraggiare gli aggiornamenti dei parametri lungo il gradiente della backdoor (promuovendo l'oblio) e un termine EWC standard per preservare le prestazioni del task pulito.

3. Estensioni:

   • Il metodo viene esteso ad scenari non mirati (untargeted) dove la classe target è sconosciuta.
   • È inoltre adattato per l'apprendimento contrastivo multi-modale (ad es. modelli CLIP), ampliandone l'applicabilità ai modelli foundation pre-addestrati.

Contributi Chiave

• Framework Teorico: Il documento è il primo a investigare sistematicamente l'unlearning delle backdoor attraverso la lente del continual learning e dell'oblio catastrofico. Fornisce una definizione formale di unlearning completo della backdoor e deriva le condizioni necessarie (allineamento dei task e ortogonalità) per il raggiungimento dello stesso.
• Algoritmo BI-BAU: Gli autori propongono BI-BAU, un metodo di unlearning robusto che formula il problema come un compito di blind inversion risolto tramite un'ottimizzazione bi-livello all'interno di un framework EM. Gestisce efficacemente scenari con classi target sconosciute e configurazioni multi-modali.
• Valutazione Esaustiva: Esperimenti estesi dimostrano che BI-BAU raggiunge una rimozione quasi completa degli effetti della backdoor attraverso un ampio spettro di attacchi, inclusi quelli impegnativi a bassa ortogonalità e bassa linearità (ad es. Refool, SIG, Narcissus) dove i baseline allo stato dell'arte falliscono.

Risultati Sperimentali

• Robustezza contro Diversi Attacchi: Su CIFAR-10 e altri benchmark, BI-BAU ottiene costantemente un basso ASR (spesso < 5%) mantenendo un'alta Clean Accuracy (CA), superando la sintesi di trigger (ad es. BTI-DBF), la ricostruzione del modello (ad es. ANP, CLP) e altri metodi di unlearning avversario (ad es. SAU, I-BAU).
• Resilienza Post-Purificazione: Fondamentalmente, BI-BAU dimostra una forte resistenza agli attacchi di riattivazione. Quando sottoposto a Retuning Attacks (RA) e Query-based Reactivation Attacks (QRA), l'ASR dei modelli purificati tramite BI-BAU rimane basso (R-ASR medio ~12,48%, Q-ASR ~5,75%), avvicinandosi molto alle prestazioni di uno scenario idealizzato in cui il difensore ha accesso ai veri dati avvelenati. Al contrario, altri metodi mostrano picchi significativi di ASR (spesso > 60-80%) sotto attacchi di riattivazione.
• Performance a Bassa Ortogonalità: Il metodo difende efficacemente contro attacchi in cui le caratteristiche pulite e quelle della backdoor sono altamente intrecciate, un noto punto debole delle difese esistenti.
• Verifica a Livello Neurale: Utilizzando il Backdoor Existence Coefficient (BEC), gli autori verificano che BI-BAU riduce le firme neurali interne delle backdoor, confermando che l'unlearning non è meramente superficiale.

Significatività e Rivendicazioni
Il documento sostiene che spostando la prospettiva dalla manipolazione diretta dei parametri alla dinamica dell'oblio catastrofico nel continual learning, sia possibile stabilire condizioni rigorose per eliminare veramente le backdoor. Gli autori affermano che BI-BAU affronta il vuoto critico nelle attuali strategie di safety tuning, che spesso lasciano vulnerabilità residue. Formalizzando il processo di unlearning come un problema di blind inversion e risolvendolo tramite un'ottimizzazione bi-livello basata su EM, il metodo offre una soluzione robusta e generalizzabile che mantiene l'utilità del modello pur rimuovendo accuratamente i comportamenti malevoli, anche in complessi scenari di deployment reali che coinvolgono modelli pre-addestrati e configurazioni di attacco sconosciute.